ここでは、Interstage Application Server V7.0以前のInterstage証明書環境の移行時の注意について説明します。
Interstage Application Server 8.0以降では、SSLのセキュリティを強化したため、Interstage証明書環境のSSL定義(Interstage管理コンソールの[システム] > [セキュリティ] > [SSL])において、下記のような仕様変更があります。
暗号アルゴリズムの追加サポート
[暗号化方法]において、AES暗号アルゴリズムとSC2000暗号アルゴリズムを含む暗号化方法が選択できるようになりました。ただし、今日ではまだAES暗号アルゴリズムをサポートしている製品は限られていますし、SC2000暗号アルゴリズムは富士通研究所で開発された独自の暗号アルゴリズムです。そのため、他製品とSSL通信する場合は、接続性を保証するために、必要に応じて他製品がサポートしている暗号化方式も選択するようにしてください。
初期選択の変更
最近ではDES暗号アルゴリズムは安全とは言えなくなってきており、より強い暗号アルゴリズムを利用することが求められてきています。そのため[暗号化方法]の初期設定で選択されているものから、DES暗号アルゴリズムを含む暗号化方法を外しました。SSL通信を行う製品やアプリケーションの仕様や設定により、DES暗号アルゴリズムを利用したSSL通信をする必要がある場合には、DES暗号アルゴリズムを選択するようにしてください。
また、SSL通信のプロトコルとしてはSSL3.0やTLS1.0を使用するのが主流となっており、SSL2.0は下位互換のために使用されます。そのため、[プロトコルバージョン]の初期設定で選択されているものから「SSL2.0」を外しました。SSL通信を行う製品やアプリケーションの仕様や設定により、SSL2.0で接続する必要がある場合には、「SSL2.0」を選択するようにしてください。
警告メッセージの表示
[プロトコルバージョン]に「SSL2.0」を選択し、かつ、[クライアント認証]で「する(クライアント証明書を必ず認証する)」を選択した場合、[適用]ボタンを押すと警告メッセージが表示されるようになります。この設定では、ブラウザなどのクライアント側からクライアント自身の証明書が提示されなくてもサーバに接続ができるため、安全性を損なう可能性があるためです。SSL通信を行う製品やアプリケーションの仕様や設定を考慮したうえで、警告を無視して適用するか、または、SSL定義を変更するか、判断してください。
Interstage Application Server V10.0での変更内容
Interstage Application Server V10.0以降では、下記のような仕様変更があります。
RSA暗号鍵長のデフォルト値変更
Interstage環境作成コマンド(scsmakeenv)で作成されるCSR(証明書取得申請書)、およびテスト用サイト証明書のデフォルトの鍵長を1024bitから2048bitに変更しています。
V9.x以前にデフォルトで作成していた鍵長と同じサイズで作成したい場合は、-kオプションに1024を指定して、Interstage環境作成コマンド(scsmakeenv)を実行してください。
SSL定義の初期値の変更
Interstage管理コンソールにおいて、SSL定義の[SSL3.0/TL1.0 暗号化方法]の初期値として選択されている暗号化方法から、共通鍵暗号RC4を含む暗号化方法を外しました。
SSL通信を行う通信相手の仕様により、共通鍵暗号RC4を利用したSSL通信をする必要がある場合は、当該暗号方式を選択するようにしてください。
Interstage組み込み証明書の変更
Interstage組み込み証明書は、認証局のルート証明書のみを組み込む仕様に変更しました。
組み込まれている証明書については、 [セキュリティシステム運用ガイド] ＞ [付録 Interstage組み込み証明書一覧]を参照してください。
新規にInterstage証明書環境作成する場合は、各認証局の手順に従い、必要に応じて、証明書をダウンロードしてください。
また、V9.x以前より、環境を移行する場合は、Interstage証明書環境のバックアップ・リストアを行う事により、証明書の再登録を行わなくても、継続して使用可能です。
